O mercado corporativo brasileiro habituou-se a tratar o SMS como canal seguro e de baixa complexidade para autenticação, notificações e transações. A nova decisão da Anatel, que obriga operadoras a bloquear mensagens SMS irregulares e cria um diretório público de remetentes, desafia essa crença confortável ao impor controles inéditos e prazos apertados para toda a cadeia, de operadoras a plataformas digitais. Empresas que dependem do SMS para processos críticos terão de repensar fluxos, contratos e até mesmo a arquitetura de suas integrações, sob pena de interrupção abrupta de comunicações essenciais.

Diretório público e bloqueio: o novo cerco ao SMS irregular

Segundo despacho aprovado por unanimidade pelo Conselho Diretor da Anatel, publicado pelo Telesíntese, operadoras móveis têm até 90 dias para criar um diretório público de códigos curtos (short codes) usados no envio de SMS A2P (application-to-person, ou de aplicações para pessoas). Esse diretório permitirá identificar, de forma transparente, as empresas responsáveis por cada código utilizado no disparo de mensagens.

Além disso, as operadoras deverão bloquear o envio de mensagens originadas de códigos curtos que não estejam devidamente cadastrados no novo sistema. O prazo para implementação é de 90 dias, prorrogável por mais 30 mediante justificativa formal à agência. O objetivo, segundo a Anatel, é ampliar a rastreabilidade dos remetentes e prevenir fraudes, que vêm crescendo em volume e sofisticação.

O despacho determina ainda que cada código curto seja exclusivo de uma única pessoa jurídica, exceto em situações extraordinárias justificadas tecnicamente à Anatel. O compartilhamento de códigos entre empresas, prática comum até então, passa a ser exceção e deverá ser explicitamente identificado no diretório. A agência argumenta que a multiplicidade de remetentes sob o mesmo código dificulta a identificação da origem das mensagens e reduz a eficácia dos mecanismos de bloqueio.

Monitoramento automatizado e novas obrigações para a cadeia de valor

O pacote de medidas não se limita às operadoras. Agregadores, integradores e plataformas digitais que participam do envio de SMS A2P também terão de adotar controles rigorosos. Entre as exigências estão a identificação dos originadores das mensagens, verificação da legitimidade das campanhas, manutenção de registros que permitam rastrear o caminho das mensagens e colaboração ativa com operadoras e autoridades na investigação de fraudes.

As operadoras, por sua vez, deverão implementar mecanismos automatizados de monitoramento do tráfego de SMS A2P. Esses sistemas terão de detectar padrões anômalos, campanhas suspeitas, uso abusivo da infraestrutura e tentativas de falsificação de identidade. Relatórios periódicos sobre o volume de mensagens bloqueadas e indicadores de efetividade deverão ser enviados ao Grupo Técnico de Suporte à Segurança Pública (GT-Seg).

O despacho também exige que as empresas aprovem e implementem políticas internas de segurança para SMS, estabeleçam canais setoriais para compartilhamento de alertas e incidentes e apresentem informações detalhadas sobre as medidas adotadas para impedir o uso de canais não confiáveis. O prazo para essas ações é de até 60 dias, prorrogável por igual período mediante justificativa.

Plataformas digitais e autenticação: impacto além das operadoras

O alcance da decisão vai além do universo das telecomunicações. Responsáveis por aplicações e plataformas digitais que utilizam SMS para autenticação de usuários, recuperação de credenciais, confirmação de identidade ou autorização de transações também terão de se adequar. Em até 90 dias, esses agentes precisarão garantir a identificação e autenticidade dos remetentes, a integridade e rastreabilidade das comunicações e a prevenção a fraudes em seus processos de autenticação.

A Anatel determina que os resultados de segurança dessas plataformas sejam equivalentes aos exigidos para comunicações digitais críticas realizadas por meio de SMS A2P. Isso significa que, mesmo sem exigir a mesma tecnologia ou arquitetura das operadoras, as empresas deverão demonstrar que seus mecanismos de segurança são compatíveis com o risco e a finalidade das comunicações. A responsabilidade recai sobre quem concebe, opera ou controla as funcionalidades e mecanismos de segurança, dentro dos limites legais da agência.

Importante destacar que a Anatel afastou a possibilidade de transferir às operadoras a responsabilidade pela fiscalização de atividades de terceiros, bem como de equiparar plataformas digitais a prestadoras de telecomunicações. Cada elo da cadeia responderá por suas obrigações específicas.

Contra-argumentos: riscos de interrupção, custos e incertezas

O endurecimento das regras para o SMS A2P levanta preocupações legítimas entre empresas e integradores. O prazo de 90 dias é considerado apertado para a adaptação de sistemas legados, revisão de contratos com agregadores e atualização de fluxos de autenticação. Há temor de que o bloqueio automático de códigos não cadastrados leve à interrupção de serviços críticos, especialmente em setores como bancos, e-commerce, saúde e governo, que dependem do SMS para autenticação de dois fatores (2FA) e notificações transacionais.

Outro ponto de tensão é o custo operacional e tecnológico da implementação dos mecanismos de monitoramento automatizado e das políticas internas de segurança. Pequenas e médias empresas, que muitas vezes terceirizam o envio de SMS por meio de agregadores, podem ser impactadas de forma desproporcional. A exigência de exclusividade dos códigos curtos também pode gerar aumento de custos e complexidade na gestão dos fluxos de mensagens.

O despacho da Anatel, segundo o Telesíntese, ressalva que as obrigações respeitam as competências legais da agência e não impõem dever geral de fiscalização sobre plataformas de terceiros. Ainda assim, o texto exige colaboração ativa dos agentes envolvidos para identificar e interromper campanhas suspeitas, o que pode gerar dúvidas sobre os limites dessa cooperação e sobre a responsabilização em caso de falhas.

O que ainda não se sabe: lacunas e próximos passos

Apesar da clareza das obrigações e prazos, permanecem incertezas relevantes. Não há, até o momento, detalhamento público sobre como será operacionalizado o diretório setorial centralizado, nem sobre os critérios técnicos para o bloqueio automatizado de mensagens. O risco de falsos positivos, bloqueio indevido de mensagens legítimas, preocupa empresas que dependem do SMS para operações críticas.

A Superintendência Executiva da Anatel acompanhará a implementação do plano e deverá apresentar, em 180 dias, relatório ao Conselho Diretor, incluindo avaliação dos riscos associados à migração de comunicações críticas entre diferentes canais tecnológicos. Está prevista também uma tomada de subsídios para receber contribuições do ecossistema sobre o SMS A2P e questões relacionadas ao combate a fraudes. O resultado desse processo poderá influenciar ajustes futuros nas regras.

Outro ponto em aberto é como as plataformas digitais, especialmente as que operam fora do país ou utilizam múltiplos canais de autenticação, vão se adequar às exigências brasileiras. O texto da Anatel fala em resultados de segurança equivalentes, mas não detalha métricas ou benchmarks específicos.

Implicações para empresas: revisão urgente de fluxos e contratos

Para organizações que operam processos críticos com dependência do SMS, o novo cenário impõe revisão imediata de fluxos de autenticação, contratos com agregadores e políticas de segurança. A rastreabilidade e a identificação pública dos remetentes passam a ser requisitos mínimos para continuidade do serviço. Empresas que utilizam códigos curtos compartilhados precisarão solicitar códigos exclusivos ou justificar tecnicamente a exceção à Anatel, sob risco de bloqueio automático de suas mensagens.

O monitoramento automatizado e o reporte periódico de incidentes exigirão integração mais próxima entre equipes de TI, compliance e parceiros de telecom. A eventual migração para canais alternativos de autenticação (push notification, apps proprietários, biometria) deve ser avaliada, mas não elimina a necessidade de garantir a segurança e a rastreabilidade das comunicações digitais.

No contexto de Manaus e da região Norte, onde a infraestrutura de telecomunicações enfrenta desafios específicos de cobertura e disponibilidade, a dependência do SMS como canal de autenticação pode ser ainda mais sensível a bloqueios e interrupções. Empresas locais precisam monitorar de perto a implementação das novas regras e garantir a adequação de seus fluxos antes do prazo final.

O movimento da Anatel sinaliza que a era do SMS como canal “fácil” e pouco regulado para autenticação corporativa chegou ao fim. A rastreabilidade, a identificação pública e o monitoramento automatizado passam a ser a nova base mínima para operações críticas. Quem subestimar o impacto dessas mudanças pode enfrentar, já nos próximos meses, interrupções inesperadas e exposição a riscos de fraude e responsabilização.